¶ Informationspflichten
Beispieldokument: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine freigegebenen Datenschutzhinweise, realen Kontaktdaten, bestätigten Verarbeitungssituationen oder belastbaren Ausnahmeentscheidungen.
Transparenzregel: Informationen werden präzise, transparent, verständlich, leicht zugänglich sowie in klarer und einfacher Sprache bereitgestellt. Ein allgemeiner Link auf eine lange Datenschutzerklärung genügt nicht automatisch für jede konkrete Erhebungssituation.
Nachweisregel: Eine veröffentlichte oder versandte Fassung belegt zunächst nur eine Bereitstellungshandlung. Vollständigkeit, Verständlichkeit, rechtzeitige Wahrnehmbarkeit und Übereinstimmung mit der tatsächlichen Verarbeitung müssen gesondert geprüft werden.
Aussagegrenze: Der interaktive Check und die Tabellen dieser Musterseite treffen keine verbindliche Rechtsentscheidung. Artikel 13, Artikel 14, mögliche Ausnahmen und nationale Spezialregelungen sind am konkreten Sachverhalt fachlich zu prüfen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-02-04 |
| Dokumentenart | Verfahren für Informationspflichten und Datenschutzhinweise |
| Wiki.js-Pfad | /DSGVO/02-Verarbeitungen-und-Rechtsgrundlagen/Informationspflichten |
| Verantwortlich | Geschäftsführung als Verantwortlicher / festzulegende Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Prozesseigner, Kommunikation, IT und betroffene Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine organisationsbezogenen Hinweise, Ausnahmen, Kanäle oder Bereitstellungsnachweise freigegeben |
| Version | 0.2 |
| Stand | 09.08.2026 |
| Gültig ab | Nach fachlicher Prüfung, Kanaltest und formaler Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern; personenbezogene Zustell-, Identitäts- und Kommunikationsnachweise vertraulich |
| DSGVO-Bezug | Insbesondere Artikel 5 Absatz 1 Buchstabe a, Artikel 12, 13, 14, Artikel 6 Absatz 4, Artikel 22 und Artikel 26 DSGVO |
| Schnittstellen | VVT, Rechtsgrundlagenkataster, Einwilligungen, Zweckänderungen, Betroffenenrechte, gemeinsame Verantwortung, Drittlandtransfers, Löschung, Projekte und Kommunikationskanäle |
Gelenkte Informationspflicht von der Erhebungssituation bis zur geprüften und versionierten Bereitstellung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Ziel und praktischer Nutzen
Das Verfahren soll gewährleisten, dass betroffene Personen rechtzeitig nachvollziehen können:
- wer über ihre personenbezogenen Daten entscheidet,
- welche konkreten Zwecke verfolgt und welche Rechtsgrundlagen verwendet werden,
- welche Daten oder Datenkategorien betroffen sind,
- woher Daten stammen, wenn sie nicht bei der Person erhoben wurden,
- welche Empfänger, Dienstleister oder Drittländer einbezogen sind,
- wie lange Daten gespeichert werden oder nach welchen Kriterien die Dauer bestimmt wird,
- welche Rechte, Kontakt- und Beschwerdewege bestehen,
- ob eine Bereitstellung gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen eine Nichtbereitstellung hat,
- ob automatisierte Entscheidungen einschließlich Profiling stattfinden.
Informationspflichten sind kein reines Textprojekt. Sie verbinden die tatsächliche Verarbeitung mit VVT, Rechtsgrundlage, Benutzeroberfläche, Kommunikationskanal, Versionierung und Nachweis. Ändert sich eines dieser Elemente, kann die Information veraltet sein, obwohl das Dokument formal noch vorhanden ist.
¶ 2. Auslöser erkennen
Eine Informationsprüfung beginnt nicht erst beim Entwurf eines Datenschutzhinweises. Typische Auslöser sind:
| Auslöser | zu klärende Frage | mögliche Folge |
|---|---|---|
| neues Formular, Portal oder App-Feld | werden Daten unmittelbar bei der Person erhoben? | Artikel-13-Information am Erhebungspunkt |
| Datenkauf, Adressdienst oder Empfehlung | stammen Daten aus einer anderen Quelle? | Artikel-14-Prüfung einschließlich Quelle und Frist |
| Import aus einem verbundenen Unternehmen | bleibt der Verantwortliche gleich und kennt die Person den neuen Vorgang? | Rollen-, Quellen- und Artikel-14-Prüfung |
| neuer Zweck | ist es eine mitgeteilte Zweckänderung oder eine neue Verarbeitung? | Information vor der Weiterverarbeitung |
| neuer Empfänger oder Dienstleister | ändert sich die transparente Empfängerbeschreibung? | Fassung und VVT abgleichen |
| Drittlandtransfer | sind Land, Transfergrundlage und Zugang zu Garantien korrekt beschrieben? | Transferinformation aktualisieren |
| neue Analyse oder Profiling-Funktion | entstehen aussagekräftige neue Daten oder Entscheidungen? | Artikel-13-/14- und gegebenenfalls Artikel-22-Angaben ergänzen |
| geänderte Speicherfrist | stimmt die veröffentlichte Dauer noch mit Löschkonzept und System überein? | Information versionieren und ersetzen |
| neue Zielgruppe oder Sprache | ist die bestehende Darstellung verständlich und erreichbar? | zielgruppengerechte Fassung erstellen |
¶ 3. Artikel 13, Artikel 14 oder gemischter Fall
| Sachverhalt | führender Prüfpfad | maßgeblicher Zeitpunkt |
|---|---|---|
| Daten werden unmittelbar bei der betroffenen Person erhoben | Artikel 13 DSGVO | zum Zeitpunkt der Erhebung |
| Daten werden aus einer anderen Quelle bezogen | Artikel 14 DSGVO | innerhalb angemessener Frist, spätestens innerhalb eines Monats |
| erste Kommunikation erfolgt vor Ablauf eines Monats | Artikel 14 Absatz 3 Buchstabe b | spätestens bei der ersten Kommunikation |
| erste Offenlegung an einen anderen Empfänger erfolgt früher | Artikel 14 Absatz 3 Buchstabe c | spätestens bei der ersten Offenlegung |
| ein Vorgang kombiniert Eingaben der Person und angereicherte Drittdaten | Artikel 13 und 14 getrennt je Datenquelle prüfen | nach dem jeweils einschlägigen Auslöser |
| Daten werden zu einem anderen Zweck weiterverarbeitet | Artikel 13 Absatz 3 oder Artikel 14 Absatz 4 | vor Beginn der Weiterverarbeitung |
¶ 3.1 Gemischte Erhebungen sauber abbilden
Ein Kundenkonto kann beispielsweise Stammdaten aus einem Webformular, Bonitätsinformationen von einem Dienstleister und Nutzungswerte aus einem Produkt enthalten. Die Information wird deshalb nicht pauschal als „Artikel 13“ eingeordnet. Im VVT und Informationsregister werden Datenquelle, Zweck, Zeitpunkt und Informationspfad je relevanter Gruppe abgebildet.
Eine Person kann einzelne Informationen bereits kennen. Daraus folgt nicht automatisch, dass sie auch über eine spätere Anreicherung, neue Empfänger, Profiling oder andere Zwecke informiert ist.
¶ 4. Fünf miteinander verbundene Steuerungsebenen
| Ebene | Leitfrage | belastbarer Arbeitsnachweis |
|---|---|---|
| Verarbeitung | was geschieht tatsächlich mit welchen Daten? | freigegebene VVT- und Datenflussreferenz |
| Rechtszuordnung | warum, nach welcher Vorschrift und in welcher Erhebungssituation? | Rechtsgrundlagen- und Artikel-13-/14-Prüfung |
| Informationsfassung | was muss diese Zielgruppe in diesem Kanal verstehen? | versionierter und fachlich geprüfter Hinweis |
| Bereitstellung | konnte die Person den Hinweis rechtzeitig wahrnehmen? | getesteter Kanal und geeigneter Bereitstellungsnachweis |
| Änderungskontrolle | wird eine Abweichung zwischen Text und Prozess erkannt? | Reviewauslöser, Änderungsprotokoll und Stichprobe |
Eine Information ist nur belastbar gelenkt, wenn tatsächlicher Prozess, Rechtszuordnung, freigegebene Fassung, rechtzeitige Bereitstellung und Änderungskontrolle zusammenpassen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 5. Rollen und Verantwortlichkeiten
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Rahmen, Ressourcen und wesentliche Veröffentlichungskonzepte freigeben |
| Prozesseigner | Verarbeitung, Datenquellen, Zwecke, Empfänger, Fristen und Änderungen vollständig beschreiben |
| Datenschutzkoordination / Rechtsfunktion | Artikel-13-/14-Zuordnung, Pflichtinhalte, Ausnahmen und Spezialnormen prüfen |
| Datenschutzbeauftragte/r | unabhängig beraten, Risiken und Verständlichkeit überwachen |
| Kommunikation / UX | zielgruppengerechte, auffindbare und barrierearme Darstellung umsetzen |
| IT / Systemverantwortliche | richtige Fassung am richtigen Erhebungspunkt ausspielen und Änderungen steuern |
| Einkauf / Dienstleistersteuerung | Datenquellen, Empfänger, Unterauftragnehmer und Transferinformationen aktuell halten |
| Personalwesen | Beschäftigte, Bewerber, Abhängigkeiten und besondere Kommunikationswege berücksichtigen |
| Kundenservice / Betroffenenrechte | Hinweise auffinden, Rückfragen richtig zuordnen und Beschwerden eskalieren |
| Audit / Kontrolle | Kanal, Fassung, Erreichbarkeit, Inhalt und Übereinstimmung stichprobenartig testen |
Die Verantwortung verbleibt beim Verantwortlichen. Ein externer Textgenerator, Website-Dienstleister oder Auftragsverarbeiter ersetzt weder die Sachverhaltsklärung noch die Freigabe.
¶ 6. Standardablauf
- VVT-ID, Zweck, Daten und betroffene Personengruppen bestimmen.
- jede Datenquelle als direkte, indirekte oder gemischte Erhebung einordnen.
- Zeitpunkt, Kommunikationsereignis und mögliche erste Offenlegung bestimmen.
- Verantwortlichen, gegebenenfalls Vertreter und Datenschutzkontakt bestätigen.
- Zwecke, Rechtsgrundlagen, Interessen, Empfänger, Transfers und Fristen mit führenden Registern abgleichen.
- erforderliche Zusatzangaben zu Quelle, Bereitstellungspflicht, Profiling oder Zweckänderung ergänzen.
- Zielgruppe, Sprache, Medium und geschichtete Darstellung festlegen.
- Ausnahmebehauptungen gesondert begründen und freigeben.
- Fassung, Versions-ID, Gültigkeitsbeginn und Ablösung dokumentieren.
- Information im tatsächlichen Erhebungskanal und auf relevanten Endgeräten testen.
- Bereitstellungs- und Kontrollnachweis geschützt referenzieren.
- VVT, Rechtsgrundlagenkataster, Informationsregister und Projektfreigabe konsistent aktualisieren.
¶ 6.1 Interaktiver Transparenz-Check
Der Check zeigt für typische Erhebungssituationen einen Arbeitsfokus und verbindet ihn mit zehn Qualitätsmerkmalen. Er speichert keine Eingaben. Auch ein vollständiger Check ist keine Freigabe und kein Nachweis, dass die Information im tatsächlichen Prozess wirksam bereitgestellt wurde.
Der Check klassifiziert keinen Sachverhalt rechtsverbindlich. Er bestätigt weder Vollständigkeit noch Verständlichkeit, tatsächliche Bereitstellung oder das Vorliegen einer Ausnahme. Diese Aussagen benötigen fachliche Prüfung und Prozessnachweise.
¶ 7. Führende Stammdaten vor dem Textentwurf
Datenschutzhinweise werden nicht aus alten Vorlagen fortgeschrieben, bevor die führenden Angaben bestätigt sind:
| Stammdatum | führende Quelle | Qualitätsfrage |
|---|---|---|
| Zweck und Verarbeitung | VVT / Prozessbeschreibung | ist der Zweck konkret und entspricht er dem System? |
| Rechtsgrundlage | Rechtsgrundlagenkataster | ist die richtige Vorschrift und gegebenenfalls das Interesse benannt? |
| Datenkategorien | VVT / Datenfluss | werden Eingaben, abgeleitete Daten und Drittdaten erfasst? |
| Empfänger | Dienstleister- und Empfängerregister | sind Kategorien für die Person aussagekräftig? |
| Drittlandtransfer | Transferregister / TIA | stimmen Land, Grundlage und Garantien? |
| Speicherfrist | Lösch- und Aufbewahrungskonzept | ist eine Dauer oder ein verständliches Kriterium möglich? |
| Datenquelle | Quellen- und Vertragsnachweis | ist sie konkreter als „Dritte“ oder „Internet“ beschreibbar? |
| automatisierte Entscheidung | System- und Fachkonzept | sind Logik, Tragweite und Auswirkungen relevant? |
¶ 8. Inhalte bei direkter Erhebung
Die Information nach Artikel 13 enthält abhängig vom Sachverhalt insbesondere:
- Namen und Kontaktdaten des Verantwortlichen sowie gegebenenfalls seiner Vertretung,
- gegebenenfalls Kontaktdaten der oder des Datenschutzbeauftragten,
- konkrete Zwecke und Rechtsgrundlagen,
- berechtigte Interessen bei Artikel 6 Absatz 1 Buchstabe f,
- Empfänger oder aussagekräftige Empfängerkategorien,
- Drittlandtransfer, Transfergrundlage und Zugang zu geeigneten Garantien,
- Speicherdauer oder verständliche Kriterien ihrer Festlegung,
- Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und gegebenenfalls Datenübertragbarkeit,
- Widerrufsrecht, wenn die Verarbeitung auf Einwilligung beruht,
- Beschwerderecht bei einer Aufsichtsbehörde,
- gesetzliche oder vertragliche Bereitstellungspflicht und mögliche Folgen einer Nichtbereitstellung,
- automatisierte Entscheidungen einschließlich Profiling sowie gegebenenfalls aussagekräftige Informationen über Logik, Tragweite und angestrebte Auswirkungen.
Nicht jeder Satz muss in derselben Darstellungsebene stehen. Wesentliche Informationen dürfen jedoch nicht hinter unklaren Verweisen, ungewöhnlichen Bezeichnungen oder schwer auffindbaren Unterseiten verborgen werden.
¶ 9. Zusätzliche Inhalte bei indirekter Erhebung
Bei Artikel 14 werden zusätzlich oder abweichend insbesondere angegeben:
- Kategorien der verarbeiteten personenbezogenen Daten,
- konkrete Quelle oder nachvollziehbare Quellengruppe,
- gegebenenfalls der Hinweis, dass Daten aus öffentlich zugänglichen Quellen stammen,
- die für den Sachverhalt geltende Bereitstellungsfrist.
Die Quellenangabe „Internet“, „Partner“ oder „Dritte“ ist regelmäßig zu pauschal, wenn eine konkretere Quelle oder aussagekräftige Kategorie genannt werden kann. Bei mehreren Quellen wird geprüft, ob eine Zuordnung zu Datenkategorien oder Erhebungswegen erforderlich und möglich ist.
¶ 10. Fristen- und Ereignismatrix
| Ereignis | spätester Informationszeitpunkt | Kontrollpunkt |
|---|---|---|
| direkte Eingabe im Formular | bei der Erhebung | Hinweis vor Absenden wahrnehmbar |
| indirekter Datenerhalt ohne frühere Kommunikation oder Offenlegung | angemessene Frist, spätestens ein Monat | Eingang und Frist dokumentiert |
| erste Kommunikation nach indirekter Erhebung | spätestens bei dieser Kommunikation | richtige Fassung im Kontaktkanal |
| erste Offenlegung nach indirekter Erhebung | spätestens bei dieser Offenlegung | Information vor oder mit Offenlegung |
| anderer Zweck | vor der Weiterverarbeitung | neue Information und Rechtsprüfung abgeschlossen |
| neue Fassung ohne neue Informationspflicht | nach gesteuertem Änderungs- und Veröffentlichungsplan | Relevanz für Bestandsbetroffene entschieden |
Die Monatsfrist ist keine pauschale Wartefrist. Der tatsächliche Kontext, die Möglichkeit der früheren Information und der faire Umgang mit betroffenen Personen werden berücksichtigt.
¶ 11. Geschichtete Informationen
Eine geschichtete Darstellung kann Komplexität reduzieren, wenn die Ebenen zusammen vollständig und leicht erreichbar sind.
| Ebene | typischer Inhalt | Qualitätsziel |
|---|---|---|
| erste Ebene | Verantwortlicher, Zweckkern, wesentliche Auswirkungen, besonders überraschende Punkte, direkter Detailzugang | Entscheidungssituation verständlich machen |
| zweite Ebene | vollständige Angaben nach Artikel 13 oder 14, Rechte, Fristen, Empfänger und Transfers | rechtlich und fachlich vollständige Information |
| kontextbezogene Vertiefung | Cookie-Anbieter, Kamerabereich, Profiling-Logik, spezielle Zielgruppen | komplexe Einzelheiten verständlich ergänzen |
Die erste Ebene darf Risiken oder ungewöhnliche Verarbeitungen nicht beschönigen. Die zweite Ebene bleibt ohne Anmeldung, unnötige Hürden oder technische Abhängigkeiten erreichbar.
¶ 12. Kanal- und Situationsmatrix
| Situation | mögliche Bereitstellung | praktische Tests |
|---|---|---|
| Webformular / App | unmittelbar am Eingabepunkt, geschichtete Information | Mobilansicht, Tastatur, Link, Fassung, Blockierung |
| Vertrag / Bestellung | zusammen mit den Erhebungsunterlagen | Trennung von Pflicht, Vertrag und optionaler Einwilligung |
| Telefon / persönliches Gespräch | kurzer Ersthinweis und erreichbare vollständige Information | Skript, Verständlichkeit, Folgekanal, Stichprobe |
| Bewerbung / Beschäftigung | zielgruppenspezifisch vor oder bei Erhebung | Portal, Papierweg, Sprache, besondere Daten |
| Kamera / Zutritt | frühzeitiger Hinweis vor Betreten und vertiefte Information | Standort, Sichtachse, QR-/Kurzlink, tatsächlicher Erfassungsbereich |
| Veranstaltung / Foto | vor Erhebung oder Aufnahme klar erkennbar | unterschiedliche Zwecke und Rechtsgrundlagen trennen |
| postalische Drittdaten | individuelle Information oder geeigneter anderer Weg | Zustellweg, Retouren, Frist, Ausnahmeprüfung |
| API / Plattformintegration | Information in der Nutzerstrecke des richtigen Verantwortlichen | Rollen, Oberfläche, Versionszuordnung, Schnittstellentest |
¶ 13. Zielgruppen, Kinder und schutzbedürftige Personen
Verständlichkeit wird aus Sicht der tatsächlichen Adressaten geprüft. Zu berücksichtigen sind insbesondere:
- Alter, Sprache, Vorwissen und kognitive Belastung,
- Abhängigkeits- oder Beschäftigungsverhältnisse,
- Stresssituationen, Krankheit oder eingeschränkte Wahrnehmungsmöglichkeiten,
- mobile Geräte, Assistenztechnik und geringe Bandbreite,
- klare Beispiele für abstrakte Zwecke oder Folgen,
- direkte Ansprache und kurze, eindeutig aufgebaute Sätze.
Eine kindgerechte Fassung ist nicht lediglich eine gekürzte Erwachsenenfassung. Sie verwendet nachvollziehbare Begriffe, erklärt Folgen und vermeidet manipulative Gestaltung.
¶ 14. Verständlichkeit, Barrierefreiheit und Auffindbarkeit
Die Freigabeprüfung umfasst mindestens:
- sprechende Überschriften und konkrete Zweckbeschreibungen,
- konsistente Begriffe zwischen Oberfläche, VVT und Information,
- ausreichenden Kontrast und skalierbare Darstellung,
- Tastaturbedienbarkeit und sinnvoll beschriftete Links,
- verständliche Sprache ohne unnötige Rechts- oder Technikbegriffe,
- erreichbare Kontakt- und Beschwerdewege,
- dauerhafte Auffindbarkeit auch nach Abschluss der Erhebung,
- druckbare oder speicherbare Fassung, soweit zweckmäßig,
- korrekte Darstellung auf den relevanten Endgeräten.
Lesbarkeitswerte oder automatisierte Accessibility-Tests sind Hilfsmittel. Sie ersetzen keinen Zielgruppen- und Praxistest.
¶ 15. Ausnahmen von Artikel 14 kontrollieren
Eine Ausnahme wird nicht pauschal angenommen. Für Artikel 14 Absatz 5 werden Tatbestand, Reichweite, Begründung, Schutzmaßnahmen, prüfende Rolle, Freigabe und Review dokumentiert.
| möglicher Tatbestand | notwendige Prüfung | typische Fehlannahme |
|---|---|---|
| Person verfügt bereits über die Informationen | welche konkrete Fassung und welche Inhalte sind nachweisbar bekannt? | irgendein früherer Hinweis reiche aus |
| unmöglich oder unverhältnismäßiger Aufwand | tatsächlicher Aufwand, Personenzahl, Risiken und geeignete Ersatzmaßnahmen | viele Betroffene seien automatisch unverhältnismäßig |
| gesetzlich ausdrücklich geregelte Erhebung oder Offenlegung | adressiert die Norm diesen Verantwortlichen und enthält sie Schutzmaßnahmen? | jede gesetzliche Grundlage beseitige die Information |
| gesetzlich geregeltes Berufsgeheimnis | erfasst die Geheimhaltungspflicht genau diese Daten und Situation? | allgemeine Vertraulichkeit genüge |
Bei Unmöglichkeit oder unverhältnismäßigem Aufwand werden geeignete Maßnahmen geprüft, einschließlich einer öffentlichen Bereitstellung der Informationen. Eine Veröffentlichung ist jedoch nicht automatisch für jede Ausnahme ausreichend.
¶ 16. Zweckänderungen und wesentliche Änderungen
Vor einer Weiterverarbeitung zu einem anderen Zweck werden insbesondere geprüft:
- ursprünglicher und neuer Zweck,
- Rechtsgrundlage und gegebenenfalls Kompatibilität,
- zusätzliche Daten, Empfänger, Transfers oder Risiken,
- neue beziehungsweise geänderte Informationsinhalte,
- betroffene Bestands- und Neupersonen,
- Kanal und Zeitpunkt vor Beginn der Weiterverarbeitung,
- erforderliche Freigaben und Systemänderungen.
Eine bloße Aktualisierung einer Website nach Beginn der neuen Verarbeitung ist kein belastbarer Standardprozess für die Vorabinformation.
¶ 17. Mehrere Verantwortliche und Dienstleister
Bei gemeinsam Verantwortlichen wird transparent dargestellt, welche tatsächlichen Rollen und Beziehungen bestehen und wo betroffene Personen ihre Rechte ausüben können. Die Vereinbarung nach Artikel 26 regelt, wer welche Informationspflicht erfüllt; die betroffene Person kann ihre Rechte dennoch gegenüber jedem beteiligten Verantwortlichen ausüben.
Bei Auftragsverarbeitern bleibt der Verantwortliche für die Information verantwortlich. Dienstleister liefern rechtzeitig bestätigte Angaben zu Unterauftragnehmern, Standorten, Empfängern, Transfers und Änderungen. Vertragliche Änderungsmitteilungen werden in den Reviewprozess übernommen.
¶ 18. Empfänger und Drittlandtransfers
Empfängerkategorien müssen für die betroffene Person aussagekräftig sein. Pauschale Begriffe wie „Geschäftspartner“ werden vermieden, wenn Art, Funktion oder Rolle konkreter beschrieben werden kann.
Bei Drittlandtransfers werden nicht nur Standardformulierungen übernommen. Geprüft werden tatsächliches Drittland, Transfermechanismus, Angemessenheitsbeschluss oder geeignete Garantie sowie die Möglichkeit, eine Kopie oder Information über die Garantie zu erhalten. Die Information wird mit Transferregister, Verträgen und technischer Architektur abgeglichen.
¶ 19. Automatisierte Entscheidungen und Profiling
Ist eine automatisierte Entscheidung einschließlich Profiling einschlägig, wird nicht lediglich der Begriff genannt. Je nach Sachverhalt werden aussagekräftige Informationen über die involvierte Logik, Bedeutung, Tragweite und angestrebten Auswirkungen bereitgestellt. Geschäftsgeheimnisse rechtfertigen keine vollständig inhaltsleere Darstellung.
Die Angaben werden mit Systembeschreibung, Modell- oder Regelwerksänderungen und tatsächlicher Entscheidungswirkung abgestimmt. Ein Analysemerkmal ist nicht automatisch eine Entscheidung nach Artikel 22; die Einordnung muss dennoch dokumentiert werden.
¶ 20. Dokumenten- und Versionslenkung
Jede Fassung erhält mindestens:
- Informations-ID und Titel,
- zugeordnete VVT- und Zweck-IDs,
- Artikel-13-/14-Zuordnung,
- Zielgruppe, Sprache und Kanal,
- Versionsnummer und Freigabestatus,
- gültig-ab-Datum,
- Verantwortliche für Inhalt, Technik und Veröffentlichung,
- Prüfer und Freigabeentscheidung,
- Änderungsgrund und betroffene Inhalte,
- Referenz auf Bereitstellungs- und Testnachweise,
- Ablösungs- und Archivstatus.
Alte Fassungen werden geschützt archiviert, damit spätere Anfragen oder Prüfungen dem tatsächlichen Zeitraum zugeordnet werden können. Sie bleiben nicht unkontrolliert als aktive Hinweise erreichbar.
¶ 21. Ereignis- und Nachweiskette
| Ereignis | zu protokollierende Metadaten | Aussagegrenze |
|---|---|---|
| fachliche Freigabe | Version, Prüfer, Entscheidung, Datum | bestätigt nicht die Veröffentlichung |
| technische Veröffentlichung | Pfad, Version, Zeit, System | bestätigt nicht die Wahrnehmbarkeit im Erhebungsvorgang |
| Kanaltest | Endgerät, Ablauf, Ergebnis, Abweichung | ist nur für den getesteten Umfang aussagekräftig |
| konkrete Bereitstellung | Fassung, Kanal, Zeitpunkt oder geeignete Prozessreferenz | soll keine unnötigen personenbezogenen Daten erzeugen |
| Änderung | Auslöser, betroffene Fassungen, Entscheidung | bestätigt nicht die Information von Bestandsbetroffenen |
| Stichprobe | Zeitraum, Stichprobe, Ergebnis, Maßnahme | ist kein lückenloser Einzelnachweis |
Der öffentliche Wiki-Eintrag enthält Status und Referenzen, nicht vertrauliche Zustellprotokolle, reale Identitäten oder vollständige interne Beweisdateien.
¶ 22. Informationsregister
Das organisationsbezogene Register ist in diesem Muster noch nicht befüllt. Es soll mindestens enthalten:
| Feld | Inhalt |
|---|---|
| Informations-ID / Titel | eindeutige Zuordnung |
| VVT-ID / Zweck-ID | Verbindung zur Verarbeitung |
| Artikel 13 / 14 / gemischt | begründete Rechtszuordnung |
| Zielgruppe / Sprache | tatsächliche Adressaten |
| Kanal / Fundstelle | Ort und Zeitpunkt der Bereitstellung |
| Version / Freigabe / Gültigkeit | Lenkungsstatus |
| inhaltliche und technische Owner | Pflege und Umsetzung |
| Reviewauslöser | Zeit und Ereignisse |
| Ausnahme-ID | nur wenn tatsächlich geprüft |
| Test- und Bereitstellungsnachweis | geschützte Referenz |
| offene Abweichungen | Owner, Frist und Status |
¶ 23. Technische und redaktionelle Mindesttests
| Testfall | erwartetes Ergebnis | Nachweis |
|---|---|---|
| Direktformular Desktop | richtige Fassung vor Übermittlung erreichbar | Ablauf- und Versionsprotokoll |
| Direktformular Mobil | Inhalt ohne horizontales Scrollen bedienbar | Geräte-/Viewport-Test |
| Tastatur und Assistenztechnik | Fokus, Beschriftung und Reihenfolge verständlich | Accessibility-Prüfung |
| QR-Code oder Kurzlink | Ziel dauerhaft und ohne Anmeldung erreichbar | Link- und Ausdrucktest |
| indirekte Erhebung | Frist startet und richtige Fassung wird zugeordnet | Testdatensatz ohne produktive Personendaten |
| erste Kommunikation | Information wird spätestens mit Kontakt ausgelöst | Workflowtest |
| neue Version | alte und neue Fassung bleiben zeitlich unterscheidbar | Versions- und Archivtest |
| fehlerhafter Link | Fehler wird erkannt und eskaliert | Monitoring- oder Stichprobennachweis |
| Mehrsprachigkeit | richtige Sprache und konsistente Pflichtinhalte | redaktioneller Vergleich |
| Zweckänderung | Weiterverarbeitung startet erst nach erforderlicher Information | Freigabe- und Ende-zu-Ende-Test |
¶ 24. Review- und Änderungssteuerung
Ein Review wird mindestens ausgelöst durch:
- neue oder geänderte Zwecke und Rechtsgrundlagen,
- neue Datenkategorien oder Datenquellen,
- neue Empfänger, Dienstleister oder Unterauftragnehmer,
- neue Drittländer oder Transfermechanismen,
- geänderte Speicherfristen,
- neue automatisierte Bewertungen oder Entscheidungen,
- geänderte Verantwortlichkeit oder Kontaktdaten,
- neue Erhebungskanäle, Zielgruppen oder Sprachen,
- Beschwerden, Rückfragen oder festgestellte Missverständnisse,
- defekte Links, falsche Fassungen oder nicht erreichbare Hinweise.
¶ 25. Kennzahlen und Wirksamkeitsprüfung
| Kennzahl | Berechnung | Aussagegrenze |
|---|---|---|
| VVT-Abdeckung | Verarbeitungen mit zugeordneter gültiger Informations-ID / prüfpflichtige Verarbeitungen | bewertet nicht die Textqualität |
| Kanaltestquote | fristgerecht getestete aktive Kanäle / aktive Kanäle | nur für dokumentierten Testumfang |
| Änderungsdurchlaufzeit | Zeit vom bestätigten Änderungsbedarf bis zur freigegebenen Bereitstellung | kurze Dauer beweist keine Richtigkeit |
| Fristtreue Artikel 14 | fristgerecht bearbeitete indirekte Erhebungen / geprüfte Fälle | hängt von vollständiger Fallidentifikation ab |
| Abweichungsquote | Stichproben mit falscher Fassung oder defektem Zugang / Stichproben | Stichprobe ist keine Vollerhebung |
| Verständlichkeitsrückmeldungen | qualifizierte Rückfragen oder Testbefunde je Fassung | Rückfragefreiheit beweist keine Verständlichkeit |
Kennzahlen werden nicht isoliert als „DSGVO erfüllt“ bewertet. Ursachen, Stichprobenumfang, offene Abweichungen und Maßnahmen werden mitbetrachtet.
¶ 26. Abweichungen und Eskalation
Als Abweichung gelten beispielsweise:
- fehlende oder verspätete Information,
- falsche Artikel-13-/14-Zuordnung,
- veraltete Zwecke, Empfänger, Transfers oder Fristen,
- nicht erreichbarer Link oder unlesbarer Aushang,
- abweichende Fassung zwischen Formular und Register,
- unzureichend begründete Ausnahme,
- neue Verarbeitung vor erforderlicher Zweckänderungsinformation.
Der Prozesseigner stoppt oder begrenzt die betroffene Erhebung beziehungsweise Weiterverarbeitung, soweit erforderlich und möglich. Datenschutzkoordination, Rechtsfunktion und gegebenenfalls Datenschutzbeauftragte/r bewerten Korrektur, Bestandsbetroffene, Risiken, Dokumentation und weitere Eskalation. Eine Abweichung ist nicht automatisch eine Datenschutzverletzung; beide Prüfpfade werden bei Bedarf getrennt durchgeführt.
¶ 27. Qualitäts- und Freigabeprüfung
- Sind alle Datenquellen und Erhebungssituationen erfasst?
- Sind Artikel 13, Artikel 14 oder beide nachvollziehbar zugeordnet?
- Stimmen Zwecke, Rechtsgrundlagen, Empfänger, Transfers und Fristen mit führenden Registern überein?
- Ist die Information im tatsächlichen Kanal rechtzeitig wahrnehmbar?
- Sind erste und vertiefende Ebene zusammen vollständig?
- Wurden Zielgruppe, Sprache, Mobilansicht und Barrierefreiheit geprüft?
- Sind Zweckänderungen, Bestandsbetroffene und Versionswechsel gesteuert?
- Sind Ausnahmen konkret begründet, freigegeben und befristet überprüfbar?
- Werden Nachweise geschützt und datensparsam geführt?
- Wurden Positiv-, Negativ- und Fehlerfälle praktisch getestet?
Ein freigegebener Text ist noch kein Nachweis seiner richtigen technischen Ausspielung. Ein erfolgreicher Linktest ist noch kein Nachweis der fachlichen Vollständigkeit.
¶ 28. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| DSGVO-Startseite | Navigation und dokumentierter Gesamtstatus |
| Verzeichnis von Verarbeitungstätigkeiten | führende Verarbeitungen, Zwecke und Datenquellen |
| Rechtsgrundlagenkataster | Rechtsgrundlagen und Zusatznormen |
| Einwilligungsmanagement | Information vor einer Einwilligungsentscheidung |
| Zweckänderung und Kompatibilitätsprüfung | Prüfung und Information vor Weiterverarbeitung |
| Kinder und Schutzbedürftige | zielgruppengerechte Transparenz und Schutz |
| Gemeinsame Verantwortung | Rollen und Informationspflichten mehrerer Verantwortlicher |
| Drittlandtransfers | Transfers, Garantien und transparente Angaben |
| Dokumenten- und Nachweislenkung | Versionierung, Freigabe und geschützte Nachweise |
¶ 29. Offizielle Grundlagen
- Datenschutz-Grundverordnung – amtlicher Text bei EUR-Lex
- EDSA: Leitlinien zur Transparenz nach der DSGVO, WP260 rev.01
- BfDI: Basiswissen zu Informationspflichten nach Artikel 13 und 14 DSGVO
¶ 30. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei VVT-Verknüpfung, Datenschutzhinweisen, Versionierung, Kanaltests und kontrollierter Nachweisführung
| SMCT-Information | Beschreibung |
|---|---|
| Datenschutzmanagement | Informationspflichten mit VVT, Rechtsgrundlagen und Betroffenenrechten verbinden |
| Datenschutz-Leistungen | Unterstützung bei Verfahren, Texten und Kontrollen |
| Pflichten von Verantwortlichen und Auftragsverarbeitern | Rechenschafts- und Nachweispflichten einordnen |
Erstgespräch unter info@smct-management.de vereinbaren
Die SMCT-Links sind ergänzende Fach- und Leistungsinformationen. Maßgeblich bleiben amtliche Rechtsquellen, die konkrete Gestaltung und die Prüfung des Einzelfalls.
¶ 31. Offene organisationsbezogene Entscheidungen
| Entscheidung | Status | erforderliche Rolle |
|---|---|---|
| vollständiges Informationsregister mit VVT-Zuordnung | offen | Datenschutzkoordination und Prozesseigner |
| verbindliches Artikel-13-/14-Prüfformular | offen | Rechtsfunktion / Datenschutzbeauftragte/r |
| Standard für geschichtete Hinweise und Barrierefreiheit | offen | Kommunikation, IT und Datenschutz |
| zulässige Bereitstellungs- und Testnachweise | offen | Datenschutz, IT und Dokumentenlenkung |
| Fristenworkflow für indirekte Erhebungen | offen | Prozesseigner und IT |
| Reviewauslöser aus Einkauf, Projekten und Changes | offen | Einkauf, Projektmanagement und Datenschutz |
Diese offenen Punkte sind keine bestätigten Mängel einer realen Organisation. Sie zeigen, welche Festlegungen vor einer formalen Freigabe des Musterverfahrens organisationsbezogen zu treffen wären.
¶ 32. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.2 | 09.08.2026 | Auslöser- und Artikel-13-/14-Entscheidung, gemischte Erhebungen, fünf Steuerungsebenen, zusätzliche SVG-Nachweiskette, interaktiver Transparenz-Check, Stammdaten-, Fristen-, Kanal-, Ausnahme-, Versions-, Test-, Kennzahlen- und Abweichungssteuerung sowie amtliche Quellen ergänzt | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.1 | 08.08.2026 | Musterverfahren für Informationspflichten mit Pflichtinhalten, Fristen, Kanälen und leerem Informationsregister erstellt | Datenschutzkoordination / Musterrolle | Ausstehend | – |